Relay SMTP de Google Workspace "550 5.7.0 Mail relay denied": cómo solucionarlo

Qué significa

El servicio de relay SMTP de Google Workspace (smtp-relay.gmail.com) permite que tus propios servidores, aplicaciones y dispositivos envíen correo a través de Google. Antes, Google tiene que saber que la conexión pertenece a tu organización de Workspace. Cuando no consigue asociar la conexión a tu cuenta, la rechaza con un mensaje que suele tener este aspecto:

550-5.7.0 Mail relay denied [203.0.113.10]. Invalid credentials for
550-5.7.0 relay for one of the domains in: yourdomain.com (as obtained
550-5.7.0 from HELO and MAIL FROM). Email is being sent from a domain
550-5.7.0 or IP address which isn't registered in your Workspace account.
550-5.7.0 Please login to your Workspace account and verify that your
550-5.7.0 sending device is properly registered.

Google te identifica de dos maneras: por la dirección IP de la conexión (si la has incluido en la configuración del relay) o mediante autenticación SMTP con un usuario de Workspace. Después usa el dominio del saludo HELO/EHLO y del remitente del sobre (MAIL FROM) para encontrar tu organización.

Por qué ocurre

• El servicio de relay no está configurado en la consola de administración, o el cambio aún no se ha aplicado (Google habla de hasta 24 horas).
• La IP no coincide. La configuración incluye una IP, pero tu servidor sale por otra: NAT, un VPS nuevo, un proveedor cloud con IP cambiantes o IPv6 en lugar de IPv4.
• Nombre HELO incorrecto. El servidor dice EHLO localhost o un nombre interno como ip-10-0-0-5.ec2.internal, así que Google no puede asociarlo a tu dominio. Consulta nombre de host HELO/EHLO no válido.
• El dominio del remitente no está en tu cuenta de Workspace, por ejemplo una aplicación que envía como alerts@otherdomain.com.
• "Allowed senders" es demasiado estricto: "Only registered Apps users in my domains" exige que el remitente sea un usuario existente, así que noreply@yourdomain.com sin buzón falla.
• Se exige autenticación pero no se envía, o se envía sin TLS.

Esto es distinto de un usuario normal que inicia sesión en smtp.gmail.com; para esos errores de inicio de sesión, consulta Gmail SMTP "535-5.7.8 Username and Password not accepted".

Cómo comprobarlo

1. Averigua la IP pública real del servidor de envío, desde el propio servidor:

   curl -4 https://ifconfig.me
   curl -6 https://ifconfig.me

   Si el segundo comando devuelve una dirección, puede que tu servidor se conecte a Google por IPv6.
2. Revisa el nombre HELO y el intercambio con Google:

   swaks --server smtp-relay.gmail.com:587 --tls \
     --ehlo mail.yourdomain.com \
     --from app@yourdomain.com --to you@example.com

3. En la consola de administración, ve a Apps > Google Workspace > Gmail > Routing y abre la configuración SMTP relay service. Compara la lista de IP, los remitentes permitidos y las opciones de autenticación con lo que has encontrado.
4. Comprueba la IP de envío en las listas negras de Delivmail y busca su propietario con whois si no sabes a qué red pertenece.

Cómo solucionarlo

1. Configura el relay (en la organización de nivel superior; hacen falta permisos de administración de la configuración de Gmail):
   • Allowed senders (remitentes permitidos): "Only addresses in my domains" sirve para la mayoría de las aplicaciones y dispositivos; no exige un buzón para cada dirección. Evita "Any addresses".
   • Authentication: marca "Only accept mail from the specified IP addresses" y añade la IP pública de tu servidor (con un rango pequeño), y/o "Require SMTP Authentication".
   • Marca "Require TLS encryption" si tu servidor admite TLS.
2. Usa un nombre HELO correcto que pertenezca a uno de tus dominios de Workspace. Ejemplo con Postfix:

   relayhost = [smtp-relay.gmail.com]:587
   smtp_helo_name = mail.yourdomain.com
   smtp_tls_security_level = encrypt
   # force IPv4 if only an IPv4 address is registered
   smtp_address_preference = ipv4

3. O autentícate con un usuario de Workspace por TLS (puerto 587 con STARTTLS o 465). En ese caso, las credenciales del usuario identifican tu dominio. La cuenta necesita un método de inicio de sesión válido (se aplican las mismas reglas de OAuth o contraseña de aplicación que para el SMTP normal).
4. Usa un remitente de tus dominios: pon como remitente del sobre y como From una dirección de un dominio que esté en tu cuenta de Workspace. Si tienes que enviar en nombre de otro dominio, añádelo a Workspace como dominio secundario o dominio alias.
5. Espera a que se aplique el cambio y vuelve a intentarlo.

El relay de Google no firma con tu DKIM salvo que DKIM esté activado para el dominio en Workspace; consulta SPF, DKIM y DMARC para Google Workspace. Tu SPF también debe incluir _spf.google.com.

Comprueba que está solucionado

Envía un mensaje a través del relay a la dirección única de la página de inicio de Delivmail. Si llega, el relay te ha aceptado. En el informe, SPF debería superarse para los servidores de Google, DKIM debería ir firmado con tu dominio y DMARC debería superarse. Después reenvía el mensaje original. Si ahora recibes un rechazo que habla de límites del relay, ya has superado este error y has alcanzado una cuota.